Configurare e verificare una WAN PPPoE su Sophos Firewall

PPPoE va configurato su Sophos Firewall quando un modem o un ONT a monte inoltra la connessione in modo trasparente in modalità bridge o passthrough. Il firewall stabilisce quindi la connessione con il provider e riceve l’indirizzo WAN assegnato.

Se è il dispositivo del provider a stabilire la sessione PPPoE, Sophos Firewall riceve normalmente un indirizzo WAN statico o assegnato tramite DHCP. Se entrambi i dispositivi eseguono il NAT, si crea un doppio NAT. In questa configurazione, un’ulteriore connessione PPPoE dal firewall è generalmente superflua e può essere rifiutata come seconda sessione.

⚠️ Prima della modifica deve essere chiaro quale dispositivo stabilisce la sessione PPPoE. Una connessione simultanea dal dispositivo del provider e dal firewall ha senso solo se il provider supporta espressamente più sessioni. Per la modifica è necessario un accesso amministrativo locale o indipendente, poiché un’impostazione errata interrompe immediatamente la connessione Internet.

Raccogliere i dati del provider prima di iniziare

Prima della finestra di manutenzione devono essere disponibili i seguenti valori:

• Nome utente PPPoE ed eventuale password
• Modalità bridge o passthrough del modem o dell’ONT
• ID VLAN opzionale del provider
• Nome opzionale dell’Access Concentrator o del servizio
• Requisito relativo a un indirizzo IP dinamico, fisso o preferito
• Requisiti DNS e particolarità note relative a MTU o riconnessione
• Numero di sessioni PPPoE consentite e informazioni su CGNAT

Il nome utente è obbligatorio. La necessità di una password dipende dal provider e dal relativo metodo di autenticazione. WebAdmin accetta un massimo di 50 caratteri per il nome utente. Se il login del provider è più lungo, occorre chiarire la situazione con Sophos Support prima della modifica.

La preparazione comprende inoltre un backup della configurazione aggiornato, una finestra di manutenzione e un piano di ripristino. In caso di modifica da remoto, l’unico accesso di gestione non deve passare proprio attraverso la porta WAN che viene riconfigurata.

Configurare l’interfaccia PPPoE

L’esempio seguente utilizza Port2 per una connessione con ONT in modalità bridge. Il provider richiede nome utente, password e VLAN 7, ma non una Preferred IP né un nome del servizio. La VLAN 7 è solo un esempio e non deve essere applicata a una connessione reale senza verifica.

1. Aprire Network > Interfaces.
2. Aprire il menu della porta WAN prevista e selezionare Edit interface.
3. Impostare un nome chiaro, ad esempio WAN-PPPoE, e la zona WAN.
4. Attivare IPv4 e selezionare PPPoE come IP assignment.
5. In Username, inserire ad esempio firma@example.net. Compilare il campo Password con il valore del provider solo se la connessione richiede una password.
6. Lasciare vuoto Preferred IP se il provider non ha specificato un indirizzo PPPoE fisso.
7. Assegnare un Gateway name chiaro, ad esempio gw-pppoe. Inserire un IP del gateway solo se il provider indica un valore preciso.
8. Lasciare vuoto Access concentrator/service name, a meno che il provider non richieda un nome esatto.
9. Mantenere LCP echo interval su 20 secondi e LCP failure su 3.
10. Attivare una riconnessione pianificata solo se richiesta dal provider o dalle esigenze operative.
11. Se il provider richiede una VLAN per PPPoE, scegliere una delle varianti descritte nella sezione successiva.
12. Salvare e quindi verificare interfaccia, gateway, DNS e traffico reale di un client.

Una Preferred IP è solo una richiesta al provider. Anche se viene inserito un indirizzo, il server PPPoE può assegnare un IP diverso. Per un indirizzo fisso garantito, il provider deve fornire il servizio appropriato.

Il nome di un Access Concentrator o di un servizio limita la connessione a un endpoint corrispondente. Un valore inventato o scritto in modo errato può impedire la connessione già nella fase di discovery. Per questo motivo, in assenza di un’indicazione esplicita del provider, il campo deve rimanere vuoto.

Implementare correttamente la VLAN del provider

La VLAN del provider può essere configurata in due modi. Entrambi i metodi sono validi, ma non devono essere combinati per la stessa connessione.

Variante 1: impostazione VDSL sulla porta PPPoE fisica

PPPoE viene configurato direttamente sulla porta WAN fisica. In DSL settings, si attiva VDSL e si inserisce l’ID VLAN del provider. SFOS esegue così l’elaborazione VLAN necessaria per la sessione PPPoE.

La denominazione VDSL non significa che il firewall sostituisca un modem DSL o un ONT. Il dispositivo a monte rimane responsabile della linea fisica e della sincronizzazione.

Nell’esempio, sulla porta PPPoE viene impostata la VLAN 7. Sulla stessa connessione non deve poi essere creata un’ulteriore VLAN 7 manuale con una seconda configurazione PPPoE.

Variante 2: PPPoE su una VLAN WAN manuale

In Network > Interfaces > Add interface > Add VLAN, creare innanzitutto una VLAN sulla porta fisica del provider. Assegnare a questa VLAN la zona WAN, l’ID VLAN del provider e PPPoE come assegnazione IPv4. Inserire le credenziali su questa interfaccia VLAN.

Questa configurazione è utile quando l’interfaccia VLAN deve essere esplicitamente visibile e denominata separatamente nel design delle interfacce. Configurare le VLAN su Sophos Firewall spiega i principi dell’interfaccia parent e del tagging VLAN.

Se su un’interfaccia fisica è già configurata una VLAN, SFOS non può semplicemente modificare l’assegnazione IP dell’interfaccia fisica da Static a PPPoE o DHCP. In tal caso, occorre prima verificare il design esistente delle interfacce e delle VLAN.

Comprendere LCP e la riconnessione

Gli echo LCP verificano se il peer PPP risponde ancora. Con i valori predefiniti, il firewall invia una verifica ogni 20 secondi e considera la sessione non più raggiungibile dopo 3 risposte mancate.

Questi valori costituiscono un punto di partenza ragionevole. Un intervallo più breve rileva prima i problemi, ma su una linea instabile può causare riconnessioni non necessarie. LCP deve quindi essere modificato solo in base a un requisito del provider o a un problema documentato. Deselezionare l’impostazione non disattiva LCP, ma ripristina i valori predefiniti.

Schedule time for reconnect interrompe la sessione PPPoE a un’ora stabilita e la ristabilisce. Può essere utile se il provider impone una disconnessione periodica, ma non è una funzione di riparazione generale. Le connessioni in corso vengono interrotte e, in caso di assegnazione dinamica, l’indirizzo IP pubblico può cambiare. Una riconnessione necessaria deve quindi essere pianificata al di fuori dell’orario di produzione.

Verificare l’intera connessione

Il solo fatto che sia stato assegnato un indirizzo WAN non dimostra che i client possano utilizzare Internet. Dopo il salvataggio, verificare i livelli coinvolti nell’ordine seguente.

Interfaccia e gateway

In Network > Interfaces, l’interfaccia PPPoE deve essere connessa e aver ricevuto un indirizzo IP. Il gateway fisico associato compare automaticamente in Network > WAN link manager.

Un nuovo gateway WAN è Active per impostazione predefinita. In presenza di più connessioni Internet, può quindi partecipare immediatamente al bilanciamento del carico. Se la nuova connessione PPPoE deve servire solo come riserva, configurare direttamente il gateway come Backup e poi testarlo in modo controllato. La procedura completa è descritta in Configurare e testare il failover WAN.

DNS

In Network > DNS, è possibile utilizzare Obtain DNS from PPPoE oppure configurare consapevolmente un DNS statico. Test name lookup consente di verificare direttamente la risoluzione.

In presenza di più connessioni PPPoE, non si deve presupporre un ordine non documentato dei server DNS ricevuti. Per un design Multi-WAN prevedibile sono opportuni server DNS scelti consapevolmente e test separati.

Regola firewall, NAT e test del client

Il traffico da LAN a WAN richiede una regola firewall appropriata e, in genere, masquerading o SNAT. Comprendere il NAT su Sophos Firewall spiega come interagiscono questi elementi.

Da un client di prova, verificare quindi almeno le seguenti funzioni:

1. Raggiungibilità di un indirizzo IP esterno.
2. Risoluzione di un nome DNS.
3. Accesso a una pagina HTTPS.
4. Un’applicazione importante per l’operatività.
5. Una voce di log con la regola firewall e l’interfaccia WAN previste.

Un ping riuscito non è sufficiente. DNS, HTTPS, NAT o un’applicazione possono continuare a non funzionare anche se i piccoli pacchetti ICMP vengono trasmessi.

Ripristinare la configurazione dopo una modifica non riuscita

Se non viene stabilita alcuna sessione PPPoE, annullare la modifica tramite l’accesso amministrativo indipendente: riportare il dispositivo del provider alla modalità operativa documentata in precedenza, reimpostare sull’interfaccia WAN l’indirizzo statico o assegnato tramite DHCP precedente e riattivare il percorso precedente di gateway e DNS. Verificare quindi nuovamente interfaccia, gateway, DNS e un test reale da un client. Continuare a lavorare su PPPoE solo quando il percorso precedente funziona di nuovo.

Individuare sistematicamente gli errori PPPoE

Verificare innanzitutto la linea e la configurazione, quindi MTU o altri valori speciali:

1. Controllare lo stato del link, la sincronizzazione del modem o dell’ONT, il cablaggio e la modalità bridge/passthrough.
2. Confrontare la VLAN del provider con i dati contrattuali e assicurarsi che non sia stata impostata contemporaneamente tramite l’opzione VDSL e una VLAN manuale.
3. Verificare esattamente il nome utente, la password opzionale e l’uso di maiuscole e minuscole.
4. Cancellare Preferred IP e il nome dell’Access Concentrator o del servizio se il provider non ha specificato espressamente questi valori.
5. Salvare e controllare se l’interfaccia riceve un indirizzo IP e un gateway.
6. Verificare prima il DNS con Test name lookup e poi da un client.
7. Controllare la regola firewall, il NAT e Log Viewer.

Per una diagnosi più approfondita in 5. Device Management > 3. Advanced Shell, osservare innanzitutto gli eventi dell’interfaccia:

tail -f /log/networkd.log

networkd.log mostra gli eventi delle interfacce fisiche e virtuali. Il gateway WAN e i possibili eventi di failover sono registrati in dgd.log:

tail -f /log/dgd.log

Interrompere l’output in corso con Ctrl+C. In 4. Device Console è possibile visualizzare ulteriori messaggi di sistema con un comando di sola lettura:

system diagnostics show syslog

I messaggi pppd nell’output possono evidenziare errori di discovery, autenticazione o sessione. Documentare il messaggio di errore esatto insieme all’ora, all’interfaccia, alla versione del firmware e a un nuovo tentativo di connessione. Log dei servizi di Sophos Firewall spiega come interpretare altri file.

Schemi tipici:

• Nessun peer PPPoE trovato: verificare il link, la modalità bridge/passthrough, la VLAN del provider e il nome del servizio opzionale.
• Autenticazione rifiutata: verificare le credenziali, la lunghezza dei caratteri, l’account del provider e il numero di sessioni consentite.
• La sessione viene stabilita e poi cade: esaminare la linea, gli eventi del provider, LCP e la riconnessione pianificata.
• L’indirizzo WAN è presente, ma Internet non funziona: verificare gateway, DNS, regola firewall, NAT e routing.
• Non funzionano solo i pacchetti grandi o il traffico VPN: analizzare MTU/MSS solo dopo un test riproducibile.

Non modificare MTU e MSS in modo generalizzato

PPPoE aggiunge overhead. Ciò non significa però che ogni connessione debba essere impostata manualmente su una MTU di 1492 o un MSS di 1452. I valori predefiniti funzionano in molti ambienti, mentre VLAN, VPN o tecnologie del provider aggiuntive modificano il percorso effettivo.

Una modifica è utile solo se, ad esempio, i pacchetti piccoli funzionano, i trasferimenti HTTPS di grandi dimensioni si bloccano o i packet capture mostrano ripetuti problemi di frammentazione. Verificare MTU e MSS su Sophos Firewall spiega la misurazione e il calcolo.

Multi-WAN, Dynamic DNS e HA

Una connessione PPPoE stabilita si comporta in WAN Link Manager come un altro gateway WAN fisico. Durante una riconnessione o un failover, tuttavia, possono cambiare l’indirizzo pubblico e tutte le connessioni associate. Ciò riguarda in particolare IPsec, DNAT, allowlist esterne e Remote Access. Con indirizzi dinamici è utile Dynamic DNS su Sophos Firewall, ma non sostituisce il test dei servizi in ingresso.

Se il provider assegna solo un indirizzo CGNAT privato o condiviso, normalmente il firewall non è raggiungibile direttamente da Internet. Dynamic DNS aggiorna soltanto il nome e non elimina CGNAT. Per i servizi in ingresso è necessario un indirizzo pubblico o inoltrato dal provider.

PPPoE è consentito in un cluster HA Active-Passive, ma la sessione PPPoE esistente non viene trasferita durante il failover. Il nuovo Primary deve stabilirla di nuovo. Active-Active richiede indirizzi IP statici su tutte le interfacce e pertanto non supporta PPPoE. Il design fisico della connessione del provider deve inoltre garantire che entrambi gli appliance possano raggiungerla dopo un cambio di ruolo. Varianti HA di Sophos Firewall spiega ulteriori limitazioni.

IPv6 è una decisione separata del provider. Se la connessione fornisce Prefix Delegation, IPv6 Prefix Delegation su Sophos Firewall mostra la configurazione separata.

Escludere errori specifici della versione

SFOS 22.0 MR2 Build 546 risolve diversi problemi PPPoE presenti in GA e MR1, tra cui Policy Test tramite PPPoE, la sincronizzazione delle licenze in HA Active-Passive e prestazioni di upload insufficienti dovute a una coda TX troppo breve. MR2 risolve inoltre un errore per cui i tunnel IPsec con un alias IP su una WAN PPPoE venivano stabiliti, ma non trasmettevano traffico.

Se uno di questi sintomi si verifica su una versione precedente di SFOS 22, occorre innanzitutto pianificare un aggiornamento controllato a una Maintenance Release attualmente supportata. Verifica dell’aggiornamento a SFOS 22 descrive la preparazione. Le vecchie soluzioni temporanee, come la disattivazione generalizzata dell’accelerazione IPsec, non devono far parte di una nuova configurazione standard.

FAQ